Noch zweieinhalb Wochen: Am 2. August 2026 wird der EU AI Act für die meisten Unternehmen zum ersten Mal konkret spürbar. Nicht mit Hochrisiko-Audits und Konformitätsbewertungen — die kommen später —, sondern mit etwas viel Alltäglicherem: Transparenz. Wer Chatbots betreibt oder KI-generierte Inhalte veröffentlicht, muss das ab diesem Tag offenlegen. Gleichzeitig beginnt die Aufsicht über General-Purpose-AI-Modelle. Der gute Teil der Nachricht: Der Fahrplan ist inzwischen so klar wie selten bei einem EU-Gesetz. Wer ihn kennt, kann Compliance als kalkulierbares Projekt behandeln statt als diffuse Bedrohung.
TL;DR
- Am 2. August 2026 werden die Transparenzpflichten aus Art. 50 verbindlich: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Texte, Bilder, Videos und Deepfakes müssen gekennzeichnet werden — diese Pflichten wurden nicht verschoben.
- Ab demselben Tag kann das AI Office die GPAI-Pflichten durchsetzen; bei Art.-50-Verstößen drohen Bußgelder bis 15 Mio. Euro oder 3 % des weltweiten Umsatzes.
- Die Hochrisiko-Pflichten greifen erst am 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (eingebettete Systeme) — inhaltlich aber unverändert. Wer die Gnadenfrist als Projektplan nutzt, hat keinen Grund zur Hektik.
Der Digital Omnibus hat den Fahrplan sortiert — nicht entschärft
Zur Erinnerung, was im Juni passiert ist: Das Europäische Parlament hat den Digital Omnibus am 16. Juni 2026 final beschlossen, der Rat am 29. Juni 2026. Damit ist der Zeitplan des AI Act jetzt verbindlich sortiert. Die Hochrisiko-Pflichten für eigenständige KI-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für KI, die in regulierte Produkte eingebettet ist (Anhang I), ab dem 2. August 2028.
Wichtig für Ihre Planung: Der Omnibus verschiebt ausschließlich Fristen, keine Inhalte. Die Artikel 6 bis 27 — also das gesamte Hochrisiko-Pflichtenpaket von Risikomanagement über Datenqualität bis Dokumentation — sind materiell unverändert geblieben. Was Sie 2027 erfüllen müssen, steht heute schon fest. Das ist keine Entwarnung, sondern Planbarkeit: Sie wissen exakt, was kommt und wann.
Nicht verschoben wurden dagegen die Transparenzpflichten aus Art. 50 Abs. 1, 3 und 4. Sie werden am 2. August 2026 scharf. Und genau deshalb ist dieser Sommer der Moment, an dem KMU handeln sollten — nicht irgendwann 2027.
Was am 2. August 2026 verbindlich wird
Der Kern der neuen Pflichten ist schnell erklärt: Menschen dürfen nicht mehr im Unklaren gelassen werden, ob sie es mit KI zu tun haben.
Erstens die Chatbot-Offenlegung: Wenn Kunden mit einem KI-System interagieren — im Support-Chat, im WhatsApp-Bot, im Sprachassistenten —, muss erkennbar sein, dass sie mit einer Maschine sprechen. Was das speziell für Voice-Agents am Telefon bedeutet, haben wir separat aufgeschrieben. Ein klarer Hinweis im Interface genügt in den meisten Fällen; entscheidend ist, dass er da ist.
Zweitens die Kennzeichnung KI-generierter Inhalte: KI-erzeugte Texte, Bilder und Videos müssen als solche kenntlich gemacht werden, Deepfakes ausdrücklich. Für die maschinenlesbare Markierung nach Art. 50 Abs. 2 hat der Omnibus eine praxisnahe Übergangsregel geschaffen: Generative KI-Systeme, die vor dem 2. August 2026 bereits am Markt sind, haben bis zum 2. Dezember 2026 Zeit, diese technische Markierung nachzurüsten. Neue Systeme müssen sie von Anfang an mitbringen.
Drittens beginnt am 2. August 2026 die Durchsetzung: Das AI Office der Kommission kann ab diesem Tag die Pflichten für General-Purpose-AI-Modelle durchsetzen. Bei Verstößen gegen Art. 50 drohen Bußgelder bis 15 Mio. Euro oder 3 % des weltweiten Umsatzes. Zur ehrlichen Einordnung gehört: Stand Juli 2026 ist noch kein rechtskräftiges Bußgeld nach dem AI Act öffentlich dokumentiert. Die Behörden starten erkennbar mit Augenmaß — aber ab August existiert der Hebel, und wer die einfachen Transparenzpflichten ignoriert, macht sich unnötig angreifbar.
Dass die Branche den Rahmen ernst nimmt, zeigt der GPAI Code of Practice: Rund 24 Anbieter haben unterzeichnet, darunter OpenAI, Anthropic, Google, Microsoft, Amazon, IBM, Mistral und Aleph Alpha. Meta ist nicht dabei, xAI nur beim Safety-Kapitel. Für Sie als Anwender heißt das: Die großen Modellanbieter, auf denen die meisten KMU-Lösungen aufsetzen, arbeiten bereits im Regelwerk mit.
Der Fahrplan: vier Stichtage bis 2028
Vier Stichtage bis zur Geltung
Der gesamte Zeitplan lässt sich auf vier Daten reduzieren. Am 2. August 2026 greifen die Transparenzpflichten aus Art. 50, und das AI Office nimmt die GPAI-Aufsicht auf. Am 2. Dezember 2026 endet die Übergangsfrist für die maschinenlesbare Markierung bei Bestandssystemen. Am 2. Dezember 2027 folgen die Hochrisiko-Pflichten für Anhang-III-Systeme — etwa KI in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Am 2. August 2028 schließt die eingebettete Hochrisiko-KI nach Anhang I den Bogen.
Warum die Staffelung sinnvoll ist, zeigt ein Blick auf die Normungslage: Von den rund 35 harmonisierten Normenpaketen, die CEN-CENELEC im Komitee JTC 21 erarbeitet, sind bislang erst etwa 8 veröffentlicht. Schlüsselnormen wie prEN 18286 zum KI-Qualitätsmanagementsystem werden bis Q4 2026 erwartet. Die Verschiebung der Hochrisiko-Fristen verschafft also genau die Zeit, die es braucht, damit Unternehmen gegen fertige Normen prüfen können statt gegen bewegliche Ziele.
Die richtige Lesart ist deshalb nicht „Aufschub, also abwarten", sondern: 16 Monate strukturierte Vorlaufzeit zwischen dem ersten harten Stichtag und dem Hochrisiko-Paket. Ein Projektplan mit vier Meilensteinen — mehr Berechenbarkeit bietet kaum ein Regulierungsvorhaben dieser Größe.
Ihre Checkliste bis zum 2. August
Das Herzstück für die nächsten zweieinhalb Wochen. Die meisten Punkte sind in Tagen erledigt, nicht in Monaten:
| Nr. | Aufgabe | Frist |
|---|---|---|
| 1 | Alle Kundenkontaktpunkte mit KI inventarisieren: Chatbots, Voice-Assistenten, automatisierte Mail-Antworten | jetzt |
| 2 | Chatbot-Offenlegung einbauen: klarer Hinweis, dass Nutzer mit KI interagieren | 02.08.2026 |
| 3 | KI-generierte Texte, Bilder und Videos in Ihren Kanälen kennzeichnen; Deepfake-Kennzeichnung sicherstellen | 02.08.2026 |
| 4 | Interne Richtlinie: Wer erzeugt bei Ihnen KI-Inhalte, wer kennzeichnet sie, wer prüft? | 02.08.2026 |
| 5 | Bei eingesetzten GenAI-Tools nachfragen, ob maschinenlesbare Markierung (Art. 50 Abs. 2) vorhanden oder terminiert ist | Bestandssysteme: 02.12.2026 |
| 6 | Prüfen, ob Sie selbst als GPAI- oder KI-System-Anbieter gelten (eigene Modelle, White-Label-Produkte) | 02.08.2026 |
| 7 | Compliance-Checker auf der Single Information Platform der Kommission durchspielen | jetzt |
| 8 | KI-Systeme grob gegen Anhang III rastern: Ist etwas dabei, das ab 02.12.2027 als Hochrisiko gilt? | Q3 2026 |
Punkt 8 ist bewusst schon dabei: Wer jetzt weiß, ob er 2027 betroffen ist, kann die 16 Monate nutzen — und muss nichts überstürzen.
Deutschland: Die Aufsicht hat jetzt eine Adresse
Lange war die offene Flanke in Deutschland nicht das EU-Recht, sondern die Frage, wer es hierzulande beaufsichtigt. Diese Lücke ist geschlossen: Der Bundestag hat das KI-Durchführungsgesetz im Juni 2026 beschlossen, der Bundesrat hat am 10. Juli 2026 zugestimmt.
Die Architektur ist erfreulich übersichtlich. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde für KI. Bei ihr angesiedelt sind die Koordinierungsstelle KoKIVO und ein KI-Service-Desk, an den sich Unternehmen mit konkreten Fragen wenden können. Dazu kommen KI-Reallabore mit einem Detail, das man in deutschen Verwaltungsverfahren selten liest: verbindliches Feedback binnen 30 Tagen. Wer eine KI-Anwendung im geschützten Rahmen testen will, bekommt eine garantierte Antwortzeit. Einzige nennenswerte Ausnahme: KI in Presse und Rundfunk bleibt bei den Landesmedienanstalten.
Auch auf EU-Ebene steht die Infrastruktur: Der AI Act Service Desk und die Single Information Platform der Kommission sind live — in 24 Amtssprachen, inklusive Compliance-Checker, mit dem Sie Ihre Einordnung selbst vorprüfen können. Für KMU ist das die eigentliche Nachricht dieses Sommers: Es gibt jetzt Ansprechpartner mit Adresse und Frist, keine Grauzone mehr.
Was das für Ihren Betrieb heißt
Der 2. August 2026 ist kein Grund für Alarmstimmung — aber ein echter Termin. Was bis dahin ansteht, ist Handwerk: Chatbots offenlegen, KI-Inhalte kennzeichnen, Zuständigkeiten intern regeln. Das ist mit der Checkliste oben in wenigen Arbeitstagen machbar, und für Bestandssysteme bleibt bei der technischen Markierung ohnehin Luft bis zum 2. Dezember 2026.
Die strategische Aufgabe liegt dahinter: Rastern Sie Ihre KI-Anwendungen einmal sauber gegen Anhang III. Wenn nichts davon hochriskant ist — bei den meisten KMU der Fall —, sind Sie mit den Transparenzpflichten im Wesentlichen durch. Wenn doch, haben Sie bis zum 2. Dezember 2027 einen klaren, unveränderten Anforderungskatalog und bald fertige Normen, gegen die Sie bauen können.
Der EU AI Act ist damit das geworden, was man sich von Regulierung wünscht: ein Projekt mit Terminen, Ansprechpartnern und bekanntem Pflichtenheft. Behandeln Sie ihn genau so — dann ist der Stichtag ein Meilenstein, kein Stolperstein.
Weiterlesen im EU-AI-Act-Cluster: Risikoklassen, Anbieter vs. Deployer — was wirklich auf den Mittelstand zukommt, AI-Inventur: der erste Pflicht-Schritt und Art. 9: das Risikomanagement-System. Das größere Bild: KI-Beratung für den Mittelstand.
Nächster Schritt
Passt das auf Ihren Fall?
30-Min-Erstgespräch, kostenfrei und unverbindlich. Wir gehen Ihren konkreten Fall durch — und sagen ehrlich, wenn nichts passt.